Nextcloud tikai caur VPN: vispirms uzskaitiet visas ieejas

Nextcloud plāns tikai caur VPN neizdodas, kad tas aizsargā pārlūku un aizmirst sinhronizācijas klientu. Tīmekļa lapai, darbvirsmas sinhronizācijas dzinējam, mobilajām augšupielādēm, WebDAV rīkiem un koplietoto saišu saņēmējiem visiem vajadzīgs ceļš uz to pašu pakalpojumu, un katrs var atklāt citu ieeju. Uzskaitiet tās pirms kaut ko aizverat. Šis saraksts ir īstais perimetrs.

Izejiet kontrolsarakstu secībā. Pirmais punkts nosaka, ko privāts nozīmē šai izvietošanai; nākamie punkti pārbauda, vai izvietošana patiešām atbilst šai definīcijai.

Definējiet privāto pirms perimetra maiņas

Uzrakstiet prasību vienā teikumā: katram lietotājam jāpievienojas VPN, pirms tas sasniedz lietotni, vai lietotne var palikt publiska, kamēr tās izcelsme paliek privāta. Tie ir dažādi risinājumi, un publisks apgrieztais starpniekserveris, kas pārsūta uz privātu tuneli, atbilst tikai otrajam.

Privāta aizmugursistēmas adrese nepadara lietotni privātu. Ja publiska kartēšana, otrs resursdatora nosaukums vai IPv6 klausītājs joprojām sasniedz to pašu Nextcloud instanci, ieeja pastāv neatkarīgi no tā, kur atrodas aizmugursistēma. Pārbaudiet katru nosaukumu no ārpuses, pirms pasludināt pakalpojumu par privātu. Trūkstošs DNS ieraksts nav tas pats, kas aizvērta ports.

Vienojieties arī par paredzēto auditoriju: darbinieki, mājsaimniecība, partnerorganizācija vai kontu apakškopa. Atbilde nosaka, vai publiska koplietošanas saite ir funkcija vai pretruna. Ierakstiet šo auditoriju piekļuves plānā. Tas ir pārbaudījums katrai turpmākajai izņēmuma situācijai.

Uzskaitiet katru ieeju un katru nosaukumu

Uzskaitiet publiskās adrešu kartēšanas, apgrieztos starpniekserverus, alternatīvos resursdatoru nosaukumus, IPv6 klausītājus un jebkuru tuneļa vai mesh adresi, kas sasniedz pakalpojumu. Iekļaujiet nosaukumus, kas izšķiras uz šīm adresēm, jo aizmirsts DNS ieraksts ir ieeja ar draudzīgu etiķeti.

Pārbaudiet starpniekservera konfigurāciju attiecībā uz pārsūtītajām galvenēm un alternatīviem servera blokiem. Starpniekserveris, kas pievienots citai lietotnei, var atklāt to pašu upstream caur ceļu vai atlikušo virtuālo resursdatoru. Lasiet faktisko konfigurāciju, nevis paredzēto diagrammu. Abi visbiežāk atšķiras pēc lietotnes pārvietošanas.

Pēc tam bloķējiet ieejas, kuras neizvēlējāties. Privāta aizmugursistēma ar publisku priekšpusi nav risinājums tikai caur VPN, un ugunsmūra noteikums, kas aptver tikai IPv4, atstāj IPv6 klausītāju atvērtu. Aizveriet abas saimes un abus nosaukumus vienā izmaiņā.

Dodiet katram klientam vienu pakalpojuma nosaukumu

Novirziet privāto DNS uz pakalpojumu, virziet šo nosaukumu caur VPN un izdodiet tam sertifikātu. Nosaukumam jāizšķiras caur privāto ceļu un jāvalidējas bez brīdinājuma. Klientam, kas sasniedz IP tieši, joprojām vajadzīgs strādājošs nosaukums.

Klientiem, kas savienojas caur nesaistītu IP adresi, nevajadzētu būt jāignorē sertifikāta kļūdas, lai risinājums darbotos. Stabils nosaukums arī neļauj sinhronizācijas klientiem veidot dublētus servera ierakstus, kad adrese mainās. Tā ir atšķirība starp privātu pakalpojumu un privātu IP.

Atstājiet sertifikātu validāciju ieslēgtu. Privāts tīkls samazina iedarbību, bet nepadara nevalidētu TLS savienojumu pieņemamu, un klients, kas pieradis ignorēt brīdinājumus, ignorēs tos arī citos tīklos.

Ierobežojiet tīkla piekļuvi, nevis visu LAN

Ļaujiet reģistrētiem lietotājiem sasniegt Nextcloud pakalpojumu un tā nepieciešamās atkarības, un turiet servera administrēšanu atsevišķā ceļā. VPN, kas ielaiž klientu visā mājas vai biroja tīklā dod šim klientam daudz vairāk, nekā lietotne prasa.

VPN piekļuve neaizstāj Nextcloud kontus, atļaujas vai papildu autentifikāciju. Lietotne joprojām lemj, kurš lietotājs drīkst lasīt kuru failu, un tīkla slānim nevajadzētu būt vienīgajai kontrolei.

Pierakstiet apstiprināto avota diapazonu un pakalpojuma portus. Mērķa īpašniekam vajadzīgs novērotais avots, un NAT vai starpniekserveris var to pārrakstīt, pirms pieprasījums sasniedz lietotni.

Pārskatiet katru darbplūsmu ārpus pārlūka

Darbvirsmas sinhronizācija un mobilās augšupielādes atver savus savienojumus savos laikos. Tām vajadzīgs apstiprinātais privātais ceļš, kad tās savienojas, un tās var uzvesties citādi, kad VPN nav: mēģināt vēlreiz, apturēt vai parādīt kļūdu. Pārbaudiet katru, ne tikai pārlūku.

WebDAV rīki un kalendāra vai kontaktu klienti ir atsevišķas integrācijas ar savu konfigurāciju. Klients, kas kešatmiņā saglabā publisku URL, pēc perimetra maiņas joprojām mēģina šo URL, un kļūme izskatās kā lietotnes problēma.

Koplietotās saites ir pelnījušas skaidru lēmumu. Saite nepiešķir tās saņēmējam VPN piekļuvi, tāpēc patiešām tikai VPN risinājumā ārējs saņēmējs to nevar izmantot, lai gan saite ir derīga. Ja koplietošana uz ārpusi ir nepieciešama, tā ir apzināta izņēmuma situācija ar savu piekļuves ceļu, nevis vēlāk atklājams nokavējums.

Federācijai un servera-servera integrācijām vajadzīga tāda pati attieksme. Tās ir sasniedzamības attiecības starp instalācijām, un tikai privātai izvietošanai jāsaka, vai tās tiek atbalstītas.

Pieņemiet gan atļauto, gan noraidīto gadījumu

No apstiprināta klienta pārbaudiet tīmekļa saskarni un parastu faila augšupielādi vai lejupielādi. Pēc tam pārbaudiet sinhronizācijas klientu un vienu darbplūsmu ārpus pārlūka. Panākumi tikai pārlūkā nav pieņemšana.

No neapstiprināta ceļa apstipriniet, ka lietotne nav sasniedzama caur katru sarakstā esošo ieeju. Pārbaudiet alternatīvo resursdatora nosaukumu un IPv6 adresi, ne tikai galveno URL.

Visbeidzot pārskatiet lietotnes iestatījumus, kurus viegli sajaukt ar tīkla politiku. trusted_domains uzskaita nosaukumus, ko instance pieņem; tas nav klientu IP atļauju saraksts. Ja apgrieztais starpniekserveris sniedz adreses informāciju, trusted_proxies jānorāda faktiskais starpniekserveris, un pārsūtītās galvenes jāpieņem tikai no tā.

Turpiniet parasto nostiprināšanas darbu līdztekus tīkla izmaiņām: turiet datus un dublējumus ārpus nevēlamiem tīmekļa ceļiem, ielāgojiet lietotni, aizsargājiet administratora piekļuvi un saglabājiet atkopšanu lietojamu. VPN noņem vienu ieejas virsmu; tas nepadara reģistrētu klientu uzticamu.